1 范圍

      本文件規定了工業控制系統安全防護技術要求、保障要求和測試評價方法。

      本文件適用于工業控制系統建設、運營、維護等。

2 規范性引用文件

      下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 7353-1999 工業自動化儀表盤、柜、臺、箱

      GB/T 22239-2019 信息安全技術 網絡安全等級保護基本要求

      GB/T 25069-2010 信息安全技術 術語

      GB/T 36324-2018 信息安全技術 工業控制系統信息安全分級規范

      GB/T 37933-2019 信息安全技術 工業控制系統專用防火墻技術要求

3 術語和定義

      GB/T 22239-2019、GB/T 25069-2010、GB/T 36324-2018和GB/T 37933-2019界定的以及下列術語和定義適用于本文件。

3.1

      工業控制資產 industrial control asset

      工業生產控制過程中具有價值的軟硬件資源和數據。

      注：包括控制設備、工業主機、網絡設備、應用程序、工業數據等。

3.2

      中心控制室 central control room

      位于組織內，具有生產操作、過程控制、安全保護、儀器儀表維護和生產管理等功能的綜合性場所。

3.3

      現場控制室 field control room

      位于組織內生產現場，具有生產操作、過程控制和安全保護等功能的場所。

3.4

      現場機柜室 field auxiliary room

      位于組織內生產現場，用于安裝工業控制系統機柜及其他設備的場所。

3.5

      控制設備 control equipment

      工業生產過程中用于控制執行器以及采集傳感器數據的裝置。

      注：包括DCS現場控制單元、PLC以及RTU等進行生產過程控制的單元設備。

3.6

      工業主機 industrial host

      工業生產控制各業務環節涉及組態、工作流程和工藝管理、狀態監控、運行數據采集以及重要信息存儲等工作的設備。

      注：包括工程師站、操作員站、服務器等。

3.7

      雙機熱備 dual-machine hot standby

      通過網絡連接主機和從機，正常情況下主機處于工作狀態，從機處于監視狀態，一旦主機異常，從機自動代替主機。

4 縮略語

      下列縮略語適用于本文件。

      APT：高級持續性威脅（Advanced Persistent Threat）

      CPE：客戶前置設備（Customer Premise Equipment）

      DCS：分布式控制系統（Distributed Control System）

      DNP：分布式網絡協議（Distributed Network Protocol）

      FTP：文本傳輸協議（File Transfer Protocol）

      HMI：人機界面（Human Machine Interface）

      HTTPS：以安全為目標的超文本傳輸協議通道（Hyper Text Transfer Protocol over Secure Socket Layer)

      ICS：工業控制系統（Industrial Control System）

      IEC：國際電工委員會（International Electrotechnical Commission）

      IP：互聯網協議（Internet Protocol）

      IPSec：互聯網安全協議（Internet Protocol Security）

      MAC：媒體存取控制（Media Access Control）

      OLE：對象連接與嵌入（Object Linking and Embedding）

      OPC：用于過程控制的 OLE（OLE for Process Control）

      PLC：可編程邏輯控制器（Programmable Logic Controller）

      RPO：恢復點目標（Recovery Point Objective）

      RTO：恢復時間目標（Recovery Time Objective）

      RTU：遠程終端單元（Remote Terminal Unit）

      SCADA：監視控制與數據采集（Supervisory Control and Data Acquisition）

      SNMP：簡單網絡管理協議（Simple Network Management Protocol）

      SSH：安全外殼（Secure Shell）

      SSL：安全套接層（Secure Socket Layer）

      TCP：傳輸控制協議（Transmission Control Protocol）

      VPN：虛擬專用網絡（Virtual Private Network）

      WAF：網絡應用防火墻（Web Application Firewall）

5 概述

5.1 ICS基本構成

      按GB/T 36324-2018中4.1，ICS包括但不限于以下部分。

      a）核心組件：包括SCADA、DCS、PLC等控制系統和控制設備，以及各組件通信的接口單元。

      b）控制過程：由控制回路、工業主機、遠程診斷與維護工具三部分完成，控制回路用以控制邏輯運算，工業主機執行信息交換，遠程診斷與維護工具用于出現異常操作時進行診斷和恢復。

      c) 結構層次：參考GB/T22239-2019中附錄G，ICS及相關聯系統從上到下共分為企業資源層、生產管理層、過程監控層、現場控制層和現場設備層等五層。在實際工業生產環境中，可出現相鄰兩層的功能由一個系統、設備來實現，即在物理上并未分開。

5.2 安全防護對象和目的

      本文件中ICS安全防護對象包括：現場設備層、現場控制層和過程監控層工業控制資產。

      本文件給出了物理環境安全防護等八項技術要求指標和軟件開發安全防護等兩項保障要求指標，安全防護目的包括如下內容。

      a） 安全防護技術要求：

      1) 物理環境安全防護的目的是防止人員未經授權訪問、損壞和干擾ICS資產，避免受到外部物理環境因素影響，保護ICS的外部運行環境；

      2) 網絡通信安全防護的目的是保護ICS中傳輸的數據的完整性和保密性，維護ICS內部以及與外部網絡之間信息的安全傳輸；

      3) 網絡邊界安全防護的目的是安全訪問ICS，避免非授權訪問，及時發現并有效保護ICS免受惡意入侵和攻擊，部分行業的應用場景見附錄A；

      4) 工業主機安全防護的目的是有效控制工業主機訪問行為，避免非授權訪問，防止工業主機受到非法入侵或造成工業數據泄漏；

      5) 控制設備安全防護的目的是安全訪問控制設備，阻止非授權訪問，避免控制設備受到惡意入侵、攻擊或非法控制；

      6) 數據安全防護的目的是保護數據全生存周期的完整性和保密性，防止未經授權使用和處理數據、惡意篡改和竊取數據等現象發生，數據安全防護對象見附錄B；

      7) 防護產品安全的目的是產品功能安全可靠、管控策略有效，避免因產品自身功能缺陷給ICS的正常運行帶來安全隱患；

      8) 系統集中管控的目的是集中維護和管控ICS，統一制定與部署安全策略，集中響應安全事件，典型部署方式見附錄C。

      b) 安全防護保障要求：

      1）軟件開發安全防護的目的是控制ICS軟件的安全開發，避免軟件自身存在安全隱患；

      2) 系統維護安全防護的目的是有效控制系統維護過程，避免系統在維護過程中受到干擾、惡意入侵，或發生數據泄露、被破壞或篡改等現象。

      本文件提出的安全防護技術要求和保障要求分為四個等級，與GB/T 22239-2019、GB/T 36324-2018提出的相應安全保護等級要求保持一致，并按梯次推進的方式給出了不同安全保護等級ICS所對應的技術要求和保障要求。

      測試評價方法是針對ICS運營單位執行本文件安全防護技術要求和保障要求的情況進行測試評價的一般方法，也可根據自身關注點自行調整測試評價指標。測試評價流程見附錄D。

以上為標準部分內容，如需看標準全文，請到相關授權網站購買標準正版。